如何使用哈希算法验证明文密码？

Question

我有一个关于盐的问题。例如，我们的记录中有 看起来像这样的数据库：

Password: YUphoRF70vJEPAOjMmc/9n47hyQ= 
Password Format: 1 
Password Salt: Vx37L8ItQo3rJzx5gRCxTw==

我正在尝试验证此密码，但我使用的方法不起作用。

这是方法：

public static string EncodePassword(string pass, string salt)
{
    byte[] bytes = Encoding.Unicode.GetBytes(pass);
    byte[] src = Encoding.Unicode.GetBytes(salt);
    byte[] dst = new byte[src.Length + bytes.Length];
    Buffer.BlockCopy(src, 0, dst, 0, src.Length);
    Buffer.BlockCopy(bytes, 0, dst, src.Length, bytes.Length);
    HashAlgorithm algorithm = HashAlgorithm.Create("SHA1");
    byte[] inArray = algorithm.ComputeHash(dst);
    return Convert.ToBase64String(inArray);
}

我是这样传递的：

string encodedPasswd = Cryptography.EncodePassword(ClearTxtPassword, DbPasswordSalt);

返回的内容看起来不像数据库中的密码。

我想知道我是否应该对盐做些其他事情？是 存储在数据库中的内容我应该传递给 EncodePassword 方法还是 中间有一个步骤，我应该在将其作为 范围？

我只是不确定为什么会出现密码不匹配的情况。根据我正在处理的网站的 web.config，它是 passwordFormat="Hashed"，数据库中的 PasswordFormat 列显示为“1”，所以我知道它是 SHA1。

你有什么想法为什么我没有得到正确的匹配，或者如何进一步解决它？（是的，我有正确的密码。）

编辑：

我尝试了以下更新方法：

public static string EncodePassword(string pass, string salt)
{
    byte[] bytes = Encoding.Unicode.GetBytes(pass);
    byte[] src = Convert.FromBase64String(salt);
    byte[] dst = new byte[src.Length + bytes.Length];
    Buffer.BlockCopy(src, 0, dst, 0, src.Length);
    Buffer.BlockCopy(bytes, 0, dst, src.Length, bytes.Length);
    HashAlgorithm algorithm = HashAlgorithm.Create("SHA1");
    byte[] inArray = algorithm.ComputeHash(dst);
    return Convert.ToBase64String(inArray);
}

与我当前的数据库数据相比，它仍然不匹配。例如，我得到 结果如下：

passwordText = "administrator"
passwordformat: 1 / SHA1
passwordSaltInDb: "zVhahfmXj9MrOQySyPQ1Qw=="
passwordInDb = "YZ5xRJkNG9erGStAkWJA3hID9vE="


encodedPasswordResults = "DWZ6XRtVMy4l+XSUOKoX8usUOJI="

是否有人可以在他们自己的环境中进行测试以了解为什么我会得到如此不同的结果？

Answer 1

SHA1 不易解密，这也是它用于存储密码的原因之一。为什么要尝试解密密码？

Answer 2

如果您传递的盐与存储在数据库中的盐完全一样，那么您正在处理的是 Base-64 编码的字符串。要将其转换为byte[] 数组，您应该使用Convert.FromBase64String 而不是Unicode.GetBytes。大致如下：

public static string EncodePassword(string pass, string salt)
{
    byte[] bytes = Encoding.Unicode.GetBytes(pass);
    byte[] src = Convert.FromBase64String(salt);
    byte[] dst = new byte[src.Length + bytes.Length];
    Buffer.BlockCopy(src, 0, dst, 0, src.Length);
    Buffer.BlockCopy(bytes, 0, dst, src.Length, bytes.Length);
    HashAlgorithm algorithm = HashAlgorithm.Create("SHA1");
    byte[] inArray = algorithm.ComputeHash(dst);
    return Convert.ToBase64String(inArray);
}

顺便说一句，尽管您的问题反复提到解密密码，但在我看来，您似乎只是在尝试针对存储的哈希验证明文密码。如果是这样，那么上面的代码应该没问题。

如果您真的想解密存储的哈希值，请不要打扰！哈希不是密码的加密版本，因此无法解密。